Akkoord nieuwe europese privacyregels

De nieuwe Europese privacyregels zijn definitief vastgelegd in de Algemene Verordening Gegevensbescherming (AVG). De nieuwe regels gaan in de gehele Europese Unie gelden en zijn vanaf 25 mei 2018 van kracht.

Na drie jaar onderhandelen is er een akkoord bereikt over nieuwe algemene regels voor privacybescherming in de Europese. Daarnaast is men akkoord over een aparte richtlijn voor het gebruik van persoonsgegevens voor opsporing en vervolging van misdrijven.

Algemene verordening gegevensbescherming

De nieuwe regels lijken redelijk aan te sluiten bij onze Wet bescherming persoonsgegevens. Zo mogen gegevens slechts verzameld en bewaard worden zolang ze strikt noodzakelijk zijn voor specifieke en concrete doelen (artikel 5). Ook de grondslag waarop gegevens mogen worden verwerkt, lijkt op de Nederlandse situatie. Zo moet er toestemming worden gegeven of mogen gegevens worden gebruikt als dat nodig is voor het uitvoeren van een contract of voor de overheid voor het uitvoeren van haar wettelijke taken (artikel 6).

Privacy by design
Privacy by design moet de standaard worden (artikel 25). In situaties met een grote impact op de privacy van mensen, wordt het verplicht om risico analyses uit te voeren door middel van zogeheten privacy impact assessments (artikel 35). (Grotere) bedrijven en instellingen moeten een privacyfunctionaris aanstellen (artikel 37). Datalekken moeten worden gemeld (artikel 33) en kunnen leiden tot een boete van maximaal 4% van de wereldwijde omzet van een organisatie of 20 miljoen euro als dat groter is (artikel 83).

Er zijn twee opvallende nieuwe rechten voor burgers. De eerste is het recht om vergeten te mogen worden (artikel 17). Daarnaast mag men een (elektronische) kopie van zijn gegevens opvragen om aan een andere organisatie te kunnen geven. Met deze 'dataportabiliteit' moet men makkelijker naar een vergelijkbare dienst bij een andere organisatie kunnen verhuizen.

Richtlijn voor gegevensbescherming bij opsporing en vervolging

De gegevens die gebruikt worden bij de opsporing en vervolging van strafbare feiten vallen niet onder de AVG. Voor deze situatie is tegelijk met de AVG een aparte richtlijn gemaakt. Het verschil tussen een richtlijn en een verordening is dat een richtlijn veel meer vrijheid geeft aan de lidstaten. Elke nationale overheid kan de richtlijn invullen met een eigen nationale wet, terwijl een verordening in alle lidstaten direct geldt en dus overal hetzelfde is.

Ook deze nieuwe richtlijn sluit redelijk aan bij onze Wet bescherming persoonsgegevens. Wat opvalt is dat bij verwerken van gegevens onderscheid moet worden gemaakt naar verschillende categorieën, te weten verdachten, veroordeelden, slachtoffers of getuigen (artikel 5). Daarnaast moet van elke gegeven worden vastgelegd hoe betrouwbaar dat gegeven is. Gaat het om feiten of om een oordeel van een (politie-)functionaris (artikel 6)?

Volgens de richtlijn moeten burgers uitgebreid geïnformeerd worden over hun recht op inzage, correctie en verwijdering van gegevens. Ook moeten burgers geïnformeerd worden over de mogelijkheid een klacht in te dienen bij de toezichthouder (hoofdstuk 3).

Privacy by design is ook binnen de richtlijn het leidende principe (artikel 19). Bij situaties met een grote impact op de privacy, wordt ook voor opsporingsinstanties een privacy impact assessment verplicht (artikel 25a). Bovendien moet vooraf advies gevraagd worden aan de toezichthouder (artikel26).

Met deze nieuwe richtlijn gaat er ook voor opsporingsinstanties een meldplicht gelden als zich een (ernstig) datalek voordoet, tenminste, als dit de opsporing en de publieke veiligheid niet in de weg staat (artikel28 en artikel 29). Het wordt verplicht om elke handeling met gegevens te 'loggen', zodat later kan worden bekeken wie er wat met de gegevens heeft gedaan (artikel 24). De opsporingsinstanties moeten verplicht een privacyfunctionaris aanstellen (artikel 30).

Verordening en richtlijn

Sinds 2012 werkt de Europese Commissie aan een verordening over gegevensbescherming voor de gehele EU. De verordening en de richtlijn zijn in 2016 in werking getreden, maar de lidstaten hebben dan nog een implementatietermijn van twee jaar om de nieuwe regels in elk land in te voeren. Deze verordening en richtlijn vervangen de oude Europese privacyrichtlijn uit 1995 en de daaruit voortvloeiende Wet bescherming persoonsgegevens.

Omdat het een Europese verordening en richtlijn betreft, is er geen stemming over geweest in de Tweede Kamer. De figuur hiernaast is daarom leeg.